OpenSSH 백도어 발견됨 (CVE-2024-3094)
아직 현재 진행형인 사태입니다. 리눅스 시장에서 아주 널리 사용되고 있는 xz에 SSH 바이패스 백도어가 발견됨. 대부분 개발자분들에게는 영향이 없을 겁니다.
놀라지 마세요: 백도어가 있는 코드는 아직 정식 배포판에까지 적용되지 않은 상황. 하지만 베타버전 쓰시는 리눅스 얼리어댑터 분들은 영향이 있을 수 있음. 백도어를 만든 저자는 이 백도어를 빨리 배포판에 적용되기 하기 위해 가짜 계정을 만들어 pull request를 올리는 등 버그가 알려지자 마자 막판 스퍼트를 뛴듯 함.
백도어가 sshd 뿐만 아니라 다른 프로그램에서 어떻게 작용하는지 아직 조사 중에 있음. 리눅스 시스템에 핵심적인 Systemd 마저도 liblzma를 링크해 사용하는 것 때문에 이 백도어가 마냥 굳혀지고 차기 배포판 릴리즈에 올려졌으면 사태가 얼마나 심각할지 아직 아무도 모른다 합니다.
CVE: https://nvd.nist.gov/vuln/detail/CVE-2024-3094
정리된 블로그: https://boehs.org/node/everything-i-know-about-the-xz-backdoor
원 발견자 보고 메일: https://www.openwall.com/lists/oss-security/2024/03/29/4
ycombinator에서 나오는 얘기는, 백도어 코드를 넣은 개발자인 Jia Tan의 커밋 시간대가 UTC+8 인 것을 추청할 때 다들 정부 스폰서를 받은 소행으로 보인다고 함. 확실한 물증은 없지만, APT 등과 같은 세력을 의심해 볼 수 있는 상황. jiatan이 거의 2년 넘게 xz에 기여하면서 신뢰를 쌓은 것을 볼 때, 단순 금전적인 이익을 노리는 개인이 이렇게까지는 안하고 정부 지원받아 활동하는 세력의 소행이라는 이견임.
발견된 정황을 읽어보면 참 운이 좋았다고 다들 말 함. 백도어 코드가 동작하면서 프로그램(sshd)이 이상 반응을 보이기 시작했는데, 이를 발견한 개발자가 무슨 전문가도 아니고 그냥 평범한 개발자였음.. liblzma에 넣은 백도어가 sshd에 까지 옮겨가기 하기 위해 glibc의 디버깅 기능을 사용하고 심볼 은닉 등 엄청난 태크닉을 사용해서 lzma에 있다는 것까지 발견하기 꽤 오랜 시간("몇주")이 걸렸다고 함. 결국 찾아낸 것도 대단함.
개발자로써 이런 초강대국들의 사이버전을 직접 목격하고 이해하니까 참 기분이 묘합니다. 실전에서 간첩을 상대하는 요원들은 얼마나 힘들까요. 난 겁나서 그런 일 못해먹을 듯.
매번 오픈소스로 인해 생기는 스캔달이 나올 때마다 우리 일상이 오픈소스 프로젝트들에 얼마나 의존해오고 있고 오픈소스 프로젝트 개발자들이 얼마나 힘들게 살아가는지 부각됩니다. 하지만 그럴 때마다 변하는 건 없음. xz 개발자였던 Lasse Collin도 개인적인 사정으로 xz 프로젝트 기여가 힘들어지자 jiatan에게 관리역할을 넘겼다고 함. 뭐 진상은 아무도 모르는 거겠지만.
만날 하필이면 이런 zero-day 취약점들 다 금요일에 발견되냐고!
